En 9.8 i servern som bygger er programvara

CVE-2026-63077 är en sårbarhet genom deserialisering av opålitlig data, den klass CISA registrerar under CWE-502, i JetBrains TeamCity On-Premises, den server för kontinuerlig integration och leverans som tusentals europeiska och brittiska utvecklingsteam använder för att kompilera, testa och leverera sin egen kod. Den har en CVSS-poäng på 9.8, den nästan högsta nivån, förbehållen brister som varken kräver autentiseringsuppgifter eller användarinteraktion och som ger angriparen allt på en gång.

Bristen sitter i TeamCitys agent-pollingprotokoll, kanalen build-agenter använder för att anmäla sig hos servern. En angripare som kan nå den kanalen via HTTP eller HTTPS, helt utan inloggning, kan skicka en manipulerad payload som TeamCity deserialiserar och kör som ett operativsystemskommando, med precis de rättigheter själva TeamCity-serverprocessen har. Alla utgivna on-premises-versioner är drabbade; TeamCity Cloud, som hostas av JetBrains, var redan patchat och kräver ingen åtgärd från kunder.

Nio dagar från avslöjande till bekräftat utnyttjande

JetBrains publicerade sin egen säkerhetsrapport den 27 juli 2026, erkände upptäckten och släppte rättade builds, TeamCity 2025.11.7 och 2026.1.3, tillsammans med ett säkerhetspatch-plugin som täcker version 2017.1 och framåt för team som inte kan uppgradera omedelbart. Vid den tidpunkten uppgav JetBrains att man inte kände till något aktivt utnyttjande.

Den 5 augusti 2026 lade den amerikanska myndigheten CISA (Cybersecurity and Infrastructure Security Agency) till CVE-2026-63077 i sin katalog över kända utnyttjade sårbarheter, listan CISA förbehåller brister vars utnyttjande i verkliga attacker man har bekräftat, inte bara teoretiskt möjliga. Enligt Binding Operational Directive 26-04 hade amerikanska federala civila myndigheter fram till 8 augusti 2026, i lördags, på sig att patcha eller koppla bort exponerade system. Tillägget kom samma vecka som CISA bekräftade en separat våg av aktivt utnyttjande mot IBM Langflow, N-able N-central och Apache Tomcat, tillagd i katalogen en dag tidigare, den 4 augusti, i ett fristående bulletin; andra sårbarheter, andra leverantörer, samma budskap om hur lite andrum internetvänd infrastrukturprogramvara får när en brist blir offentlig.

Ett CI/CD-intrång är ett leverantörskedjeintrång

Ett typiskt webbserverintrång kostar en organisation det som ligger på just den servern. TeamCity håller mer än så: de molnleverantörsnycklar och container-registry-tokens som build-agenter använder för att driftsätta, de paketförvarsuppgifter som låter en pipeline publicera under en organisations verifierade namn, och ofta kodsigneringsnycklarna som får levererad programvara att framstå som äkta för varje kund som installerar den. Fjärrkörning av kod med serverrättigheter på orkestratorn i centrum av den förtroendekedjan når alla dessa autentiseringsuppgifter på en gång.

En angripare som når så här långt kan göra mer än att kopiera en databas: den kan smyga in sig i en framtida build tills någon märker det, samma mekanism bakom de leverantörskedjeintrång som redan drabbat programvaruleverantörer betydligt större än det typiska EU- eller UK-utvecklingsbolaget. Exponeringen sträcker sig bortom själva TeamCity-servern, till varje kund och varje nedströmssystem som litar på det servern producerar.

Fristen är inte er; utnyttjandet är det redan

Binding Operational Directive 26-04 binder juridiskt bara amerikanska federala civila myndigheter, och ett utvecklingsbolag i Berlin, Amsterdam eller Manchester som kör TeamCity on-premises är inte skyldigt CISA någon efterlevnadsrapport. Att läsa det som ett frikort att patcha enligt det vanliga schemat förväxlar ett efterlevnadsartefakt med en hotprognos.

Det viktigaste faktumet är själva KEV-registreringen. CISA lägger bara till en CVE i den katalogen när man bekräftat att verkliga angripare använder den mot verkliga, internetvända servrar, och en internetvänd TeamCity-instans i EU eller Storbritannien är exakt lika nåbar för den angriparen som en i Virginia. NIS2 och Storbritanniens egna riktlinjer för väsentliga och viktiga enheter förväntar sig redan att organisationer behandlar bekräftat aktivt utnyttjande som en operativ nödsituation, oavsett vilken regering som satt fristen. Den federala fristen löpte ut i lördags; exponeringen den skrevs för står fortfarande öppen.

Vad som bör kontrolleras denna vecka

Om TeamCity On-Premises körs i er miljö har åtgärden ett versionsnummer: uppgradera till 2025.11.7 eller 2026.1.3. Där en omedelbar uppgradering inte är möjlig täcker JetBrains säkerhetspatch-plugin versioner tillbaka till 2017.1 och stänger hålet utan ett fullt versionshopp. Tills en av åtgärderna genomförts lönar det sig att ta bort servern från det öppna internet, begränsa åtkomsten till ett VPN eller ett annat betrott nätverk, och bekräfta att TeamCity-processen körs med de minimala operativsystemrättigheter den behöver, inte ett administratörskonto.

Att patcha stänger dörren framåt. Det som redan kan ha kommit in innan patchen applicerades förtjänar separat uppmärksamhet: varje autentiseringsuppgift TeamCity-servern kunde nå, moln-API-nycklar, registry-tokens, signeringsnycklar, driftsättnings-SSH-nycklar, är värt att rotera oavsett om ett intrång bekräftats, eftersom en deserialiserings-RCE som körs med serverprocessens rättigheter inte tillförlitligt lämnar loggar i proportion till vad den kom åt. Innan nästa version släpps lönar det sig att kontrollera nya build-artefakter mot kända goda hashvärden från före exponeringsfönstret.

Läs vidare: Raderar du angriparen raderar du också logiken  |  Siemens och Schneider kom med den 22 juli